2026年10月21日，PHP官方发布紧急安全更新，修复CVE-2026-109618和CVE-2026-109619两项严重漏洞。这两项漏洞的CVSS v4.0评分均为9.2分（严重），攻击者可在未经身份验证的情况下实现远程代码执行（RCE）。目前，宝塔面板已同步更新部分PHP安全修复版本，建议受影响用户尽快升级。
一、漏洞详情及影响范围
1. CVE-2026-109618：内存耗尽处理异常导致远程代码执行
PHP在处理内存耗尽（OOM）异常时，可能导致部分内部请求数据未正确初始化，并在后续清理过程中被错误使用，进而产生远程代码执行风险。
2. CVE-2026-109619：全局状态残留导致远程代码执行
PHP在处理请求时，部分内部状态可能在关联内存释放后继续保留。当同一工作进程处理后续请求时，可能错误使用这些失效数据，从而引发远程代码执行风险。
根据PHP官方公告，本次漏洞影响通过PHP处理Web请求的多种运行环境，包括PHP-FPM、Apache mod_php、php-cgi、FrankenPHP及LiteSpeed等。其中，Apache mod_php的风险尤为突出，已存在未经身份验证的请求在应用程序代码运行前触发漏洞的验证案例。
二、PHP官方已发布安全修复版本
10月21日，PHP官方发布以下包含安全修复的版本：
以上版本均包含针对本次两项严重漏洞的安全修复。宝塔面板已同步更新部分PHP安全修复版本，用户可直接通过面板软件商店完成升级，具体开放升级版本以软件商店实际显示为准。
宝塔面板PHP升级指南
1. 登录宝塔面板，进入左侧菜单「软件商店 → 已安装」。
2. 找到当前网站正在使用的PHP版本，进入对应管理页面。
3. 检查可用更新，按照提示升级至对应安全修复版本。
4. 升级完成后，确认PHP版本，并检查网站及相关业务是否正常运行。
- 建议升级前做好网站及相关配置备份，并根据业务情况选择合适的升级时间。
- 如果服务器安装了多个PHP版本，请分别检查实际使用情况，避免遗漏仍在运行的旧版本。
- PHP 8.1及更早版本已停止官方安全维护。仍在使用这些版本的用户，建议尽快规划升级至受支持的PHP版本，或向相关系统发行版维护方确认是否提供安全补丁。
三、暂时无法升级的临时缓解措施
对于暂时无法完成PHP升级的用户，PHP官方提供了部分临时缓解建议。需注意，以下措施只能降低特定漏洞利用路径的风险，不能彻底修复漏洞。
1. 针对 CVE-2026-109619 的缓解措施
关闭PHP Session上传进度跟踪功能。登录宝塔面板，进入「软件商店 → PHP → 设置 → 配置修改」，找到对应PHP的php.ini配置文件，修改以下参数：
session.upload_progress.enabled = 0
fatal_error_backtraces = 0
保存配置后，重启对应PHP服务，确保所有PHP工作进程重新加载配置。
2. 针对 CVE-2026-109618 的缓解措施
PHP官方建议通过调整内存及请求限制，降低漏洞利用风险。
（1）合理限制 POST 请求大小
可根据实际业务情况，在php.ini中调整post_max_size：
- 不需要大文件上传的业务，可参考：post_max_size = 8M
- 需要文件上传的业务，可参考：post_max_size = 32M
同时确保upload_max_filesize小于post_max_size，并根据业务需求调整具体数值。若网站存在大文件上传、数据导入等功能，请谨慎修改，避免影响正常业务。
（2）评估 PHP 内存限制及资源隔离
PHP官方提出，可通过设置memory_limit = -1降低攻击者利用PHP内存限制触发相关漏洞的风险。但需注意，该配置会取消PHP自身的内存限制，不建议普通用户在缺少资源隔离的情况下直接使用。仅建议具备相关运维经验的用户，在配置容器或cgroup内存限制、确保不会影响整机稳定性的前提下评估使用。
此外，建议在Web服务器或代理层限制请求体大小、请求参数数量及复杂度等，进一步降低攻击风险。
四、安全建议
鉴于本次漏洞风险较高，建议所有使用PHP的用户尽快开展检查：
优先升级PHP：PHP 8.2、8.3、8.4、8.5用户尽快升级至对应安全修复版本。
关注旧版补丁：PHP 7.4、8.0、8.1目前正在更新中，用户可关注宝塔后续安全更新，同时尽早规划版本迁移。
做好业务验证：更新完成后，检查网站访问、文件上传、数据库连接及其他核心业务功能。
关注异常情况：留意Web访问日志、PHP错误日志及服务器异常进程等情况。
PHP官方已明确指出，本次漏洞不存在能够完全替代安全更新的临时缓解方案，最终仍应以升级至PHP官方安全修复版本为准。宝塔将持续跟进PHP官方安全更新，及时同步相关版本，协助用户降低服务器及网站运行风险。
参考资料
PHP官方安全公告：https://www.php.net/archive/2026.php#2026-10-21-5
漏洞编号：CVE-2026-109618、CVE-2026-109619
五、Node.js 同步发布高危安全更新
10月21日，Node.js官方也发布了安全更新，共修复10项安全漏洞，其中包含4项高危漏洞、3项中危漏洞及3项低危漏洞。本次漏洞涉及远程代码执行（RCE）、TLS证书校验绕过、DNS解析异常等安全风险。
其中，CVE-2026-111497为高危漏洞，攻击者可能利用Node.js Brotli解码器越界写入问题实现远程代码执行。此外，多项TLS相关漏洞可能导致证书主机名校验被绕过。
Node.js 官方安全修复版本
建议所有使用受影响Node.js版本的用户尽快完成安全更新。
宝塔面板 Node.js 升级方法
通过宝塔面板安装Node.js的用户，可按照以下步骤操作：
1. 登录宝塔面板，进入「软件商店 → Node.js 版本管理器」。
2. 点击右上角的「更新版本列表」，获取最新的Node.js版本信息。
4. 安装完成后，将相关Node.js项目切换至新版本，并重启项目服务，确保更新生效。
注意：安装新版本不会自动将所有项目切换至新版本。建议用户升级后检查项目实际运行的Node.js版本，并确认业务正常。生产环境建议优先选择仍受官方维护的LTS版本，升级前做好兼容性验证。
Node.js官方安全公告：https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
宝塔面板
2026-10-21
随着AI技术的快速发展，安全漏洞的发现与利用速度正在不断加快。我们强烈建议用户尽早将业务迁移至官方仍在安全维护周期内的版本，避免因旧版本停止维护、无法及时获得安全补丁而面临更高的安全风险。
